中外内部控制评价体系发展比较研究

一、国内外内部控制评价体系发展历程

（一）我国内部控制评价体系发展历程 我国早期的内控制度是从财务会计的角度出发分析和解决内部控制问题的。随着全球经济的发展，我国众多学者又将目光转向对内部控制研究相对成熟和系统的美国，主要学习和借鉴了财务风险和审计风险管理。美国萨班斯法案对我国影响深远，自其出台以来我国在内部控制方面的研究取得了显著的成绩。1996年7月原电力工业部《电力企业内部控制制度审计试行办法》。1996年12月财政部了《独立审计准则第 9 号——内部控制和审计风险》，该准则不仅规定了内部控制定义和内容，而且还要求注册会计师对企业的内部控制进行审查。2003年4月，中国内部审计协会了《内部审计准则第 5 号——内部控制审计》，并在其中指出管理层对内部控制的自我评估应包括在监督范围之内。2006年6月，上海证券交易所了《上海证券交易所上市公司内部控制指引》，该《指引》明确了公司董事会对公司内控制度应负的责任，要求上市公司进行内部控制评价并披露评价报告，同时要求注册会计师对报告出具核实意见。2008年5月，财政部会同证监会、银监会、保监会、审计署等部门联合制定并了《企业内部控制基本规范》，《基本规范》要求上市公司在2009年7月正式实施后必须进行企业内部控制评价并在年报中披露相关评价报告。 2009年1月，财政部会计司连续了《企业内部控制应用指引第 xx 号——组织架构》等10项内部控制应用指引，这些具体细则为企业完善内部控制提供了指导建议，标志着我国内部控制制度进入了一个崭新的阶段。2010年4月，财政部会同保监会、证监会、银监会、审计署、国资委等部门联合了《企业内部控制配套指引》，由《企业内部控制评价指引》、《企业内部控制审计指引》以及18项《企业内部控制应用指引》等三大部分组成。《企业内部控制配套指引》是以《企业内部控制基本规范》为依据的，被称作是中国的“萨班斯法案”，为我国内部控制应用、评价和审计提供了普遍适用的应用指引。自正式实施之日起，凡执行《企业内部控制基本规范》的企业都必须进行内部控制自我评价，并披露评价报告。

（二）美国内部控制评价体系发展历程 美国在内部控制评价方面的研究较早，其理论主要源于审计领域。1934年美国在《证券交易法》中第一次提出了“内部会计控制”这一概念。1939年10月，美国审计程序委员会颁布了《审计程序文告第1号》。该委员会在首次阐述内部控制审查这一内容后，内部控制审计程序问题得到了更多的关注并被多次明确。1978年，美国柯恩委员会（Cohen Commission）提交了一份有关内部控制系统评价的报告。报告要求独立注册会计师必须对评价报告出具审计意见并且要求公司必须对独立注册会计师认定的重大缺陷做出及时回应。1992年，美国在COSO报告中提出了内部控制框架并将其分为内部环境、风险评估、控制活动、信息与沟通和内部监督等五要素。2002年，安然公司等大型企业的财务丑闻事件严重打击了美国投资者的投资信心，鉴于此美国通过并颁布了《萨班斯-奥克利法案》（简称SOX法案）。该法案针对财务报告中可能出现的问题及风险，通过结合公司财务报告的方式，实现全面提高上市公司内部控制水平的要求，从而实现内部控制的法定强制性。2007年美国SEC（Securities and Exchange Commission，美国证券交易委员会）针对财务报告中有关内部控制有效性的评价进行了相关规定，颁布了《管理层的财务报告内部控制报告指引》。该指引主张利用自上而下的风险导向方法对财务报告风险和内部控制充分性进行评价，对企业管理层的工作有很大的指导作用。

（三）英国内部控制评价体系发展历程 1985年，英国在《公司法》中规定公司必须建立财务管理方面的内部控制制度，并利用相关程序达到降低舞弊风险的目的。1992年的卡德伯利报告（Cadbury Report）进一步认为：公司有效管理的一个重要方面就是有效的内部控制，并且内部审计有助于确保内部控制的有效性。1998年的哈姆佩尔报告（Hampel Report）鼓励董事对内部控制的各个方面进行复核并将内部控制目标定位于保护资产安全性、保证公司对内和对外提供的财务信息的可靠性以及保持财务会计记录的正确性等方面。英格兰和威尔士特议会计协会在伦敦证券交易所的要求下于1999年制定并了《内部控制：联合规范的管理层指南》（即Turnbull报告），其目的是为公司的董事提供指引，使他们能够按联合规范中有关内部控制方面的要求执行。Turnbull报告将内部控制视为一个完整的系统，并提出了原则导向这一方法，主张将内部控制嵌入到企业的业务流程中去，并且明确地将风险管理的责任界定为董事会这一层面。报告第一次使用了“评估”这一字眼，并对内部控制自我评估做出了原则性的规定。2005年Turnbull报告又进行了修改，其中最重要的一项修改与披露有关，要求董事会披露针对内部控制缺陷已经或正在采取的措施。英国内部控制制度的法律框架如图1所示。

图1 英国内部控制制度的法律框架

（四）其他国家内部控制评价体系现状 （1）加拿大内部控制评价体系现状。加拿大特许会计师协会控制标准委员会（COCO）的《控制指南》，主要从目标、承诺、能力及沟通学习四个方面入手，为企业提供了一套内部控制的标准框架供企业选择性地采用。1995年，加拿大控制标准委员会（即COCO委员会）了《控制指导纲要》（即COCO报告），并于1999年进行修订并重新了《评价控制指南》。该指南制定了一套具体的评价准则，可以利用它来评价内部控制的任何方面。在加拿大COCO报告己成为公司和组织进行内部控制设计和评价时的参考标准。1987年加拿大海湾公司首次提出了CSA即内部控制自我评价，该理论要求企业对自身的内部控制系统进行评价，以了解内部控制运行效果，降低企业管理风险。（2）日本内部控制评价体系现状。日本在内部控制评价体系方面有《控制风险评价准则》，其主要内容包括：企业经营目标与内部控制五要素之间的关系，内部控制审计要点的规范，进行控制风险评价的流程以及内部控制工作底稿等内容。鉴于大型企业财务报告造假案对日本企业以及经济产生的巨大影响，日本开始采取措施加大对企业的监管力度，并借鉴美国经验成立内部控制专业委员会并于2007年2月了《关于财务报告内部控制评价与审计准则以及财务报告内部控制评价与审计实施准则的制定意见书》，最终颁布《财务报告内部控制评价与审计实施准则》和《财务报告内部控制评价与审计准则》两部准则。

二、国内外内部控制评价体系比较分析

（一）我国与美国相比 一是美国经济发达，内部控制评价体系经过不断的发展不仅拥有自己的特色，而且已经比较完善并被其他国家广泛借鉴；而我国自改革开放后虽然各项经济制度都有了重大发展，但在内部控制评价体系的构建方面起步较晚，还有待进一步的完善。二是美国由于公司股权十分分散，股东对管理层的控制能力不强。因此，为使其责任与权力相匹配，美国准则将内控评价体系的评价主体定位在公司管理层。而在我国上市公司由国企和民营企业转化而来，国有股东占主导地位，即使是民营企业，在上市后仍保持着家族企业 “一股独大”的特点。鉴于此，我国将内部控制评价的责任集中到董事会和高级管理人员身上，以确保内部控制评价能够顺利实施。三是美国的内部控制评价较为严格，系统性很强，出于重要性以及成本的考虑，美国仅就财务报告方面进行内部控制评价；而我国在内部控制评价方面规定较为宽泛，缺少“刚性”成分。

（二）我国与英国相比 一是英国公司内部控制指引报告采用灵活原则的导向方法，要求董事会专注细致地对内部控制问题进行思考。这种评价方法能够灵活应对企业经营中遇到的各种问题，有效保证企业内部控制的运行。我国的内部控制评价制度虽然有一定的伸缩性，但由于我国制度建立较晚加之经济环境复杂，企业没有对内部控制制度达到灵活运用的效果。二是英国的制度主张将内部控制嵌入到企业的业务流程中去，并且明确地将风险管理的责任界定为董事会这一层面。责任落实到位，在进行内部控制评价时就能对症下药，迅速找到切入点，从而提高评价效率。我国内控评价制度起步较晚，今后要更加注重对内部控制评价体系的修订与完善。三是英国内部控制同样形成了具有自己特色的评价体系。我国作为社会主义国家的典型代表，在学习借鉴国外先进管理制度的同时更要根据我国国情建设有利于我国经济发展的内部控制评价体系。四是英国把内部控制纳入到公司治理结构当中并使两者相结合，主张从公司治理的角度深入研究内部控制问题。我国应借鉴英国经验，将公司治理与内部控制的发展结合起来，使二者相互促进、共同发展。

（三）我国与其他国家比较 （1）加拿大鼓励企业进行自我评价，并且要求评价要更多的面向企业未来发展而不是评价过去。日本的制度规定注册会计师只对内部控制中影响会计信息产出的以及经营者确认的内部控制制度进行审计，而不是全部。国内外内部控制评价体系特点对比见表1。

三、我国内部控制评价体系现状分析

（一）从制度体系自身的角度分析 （1）评价标准不统一。我国在内部控制评价体系方面的研究起步较晚， 到目前为止还没有形成一个规范、完整的体系。目前有关内部控制的规范指引文件很多，并且在内容上有的相同，但有的却完全不同。如内部控制自我评价报告的内容，上交所规定了七条，深交所只有四条，而在《企业内部控制评价指引》中却有八条内容。正是由于缺乏统一的标准，才导致执行者处在一个很尴尬的境地。（2）评价客体不全面。目前对内部控制的要素划分普遍采用美国COSO报告的“五要素”法。但在我国仍然有大部分企业将其分为控制环境、控制程序和会计系统等三个要素，导致内容和范围过于狭窄，不能全面地对内部控制进行评价，不利于企业进行风险控制。同时内部控制评价局限于内部控制的这三个要素，也造成了评价客体不全面，不能及时地提出改善管理的意见，达不到预期的效果。（3）评价方法不科学。《企业内部控制评价指引（征求意见稿）》第十八条规定：内部控制评估和测试的方法主要包括：专题讨论会法、调查问卷法、比较分析法、标杆法、穿行测试法、抽样法、实地查验法、重新执行法和个别访谈法等九种。方法虽多，但大都存在缺陷。如调查问卷法，只能分项考查，但不能形成完整系统的评价结果。

（二）从企业的角度分析 （1）内部控制制度不健全。我国的《企业内部控制基本规范》没有强制规定企业必须建立完整的内部控制制度。各企业根据自身具体情况参考《企业内部控制基本规范》建立内部控制制度并根据《企业内部控制评价指引》对内部控制进行评价。由于企业在规模、管理水平等方面存在差异，其在内部控制制度的建立和执行上也会不同。（2）企业缺乏自我评价的意识。我国颁布的内部控制新规范体系对于企业进行内部控制评价并没有作强制要求，而是以鼓励为主。虽然相关规定中早已明确企业应当建立与实施内部控制并进行内部控制评价，但由于新规定实施的时间不长，加之没有相对严格的规定，企业对于内部控制评价的认识并不深刻也不全面。企业自己掌握宽严程度，以致大多企业的评价过程流于形式，评估报告缺乏实质性的披露。企业对内部控制自我评价的作用认识不足，最终导致企业主动进行内部控制自我评价的积极性不强。（3）企业披露的内部控制评价报告信息含量不高。从目前上市公司内部控制评价报告的信息披露情况看，企业在报告中披露自身缺陷的并不多，即使披露也大多是披露一些无关紧要的小问题，鲜有发现公司披露内部控制的重大缺陷以及评价所采用的方法和造成缺陷的责任人等信息。导致这种情况的原因很多，有可能是公司内部控制评价能力不强，没有查出重大缺陷；也有可能是企业出于自身利益的考虑，将重大缺陷内部解决而不对外披露。

（三）从运行环境的角度分析 （1）企业内部对于内部控制评价的积极性不高。企业进行内部控制评价，除了企业自身要储备相关的审计人员外，还要聘请注册会计师对企业的内部控制进行评估，成本较高。但投资者只关心企业财务报告中注册会计师给出的审计意见，并不关心企业内部控制信息的可靠性，成本高但收效并不明显，所以导致企业对于内部控制评价报告只是应付了事，内部控制评价体系在企业中没有一个良好的运行环境。其次，由于企业内控评价人员素质参差不齐，在具体实践中对内部控制评价体系落实的程度上也不尽相同，这也会影响企业内控评价的质量。（2）企业外部环境复杂多变。我国内部控制评价体系还处在不断完善的阶段，还没有形成一个相对稳定的制度环境。往往企业刚刚建立好一套体系，又要根据新的准则制度进行修改，具体操作起来问题重重，也降低了企业的积极性。同时由于没有一套完整、具体、统一的规范作保障，很多公司的内控评价报告存在披露内容过于简单以及披露主体不明确等问题，可比性差，对信息使用者的使用造成一定的困难。

[本文系2012年河北唐山市科技局软科学研究计划项目（课题编号：12140209b）阶段性研究成果]

参考文献：

[1]何薇薇：《内部控制体系评价与优化研究》，《经济与管理科学》2011年第6期。

[2]苏文成：《探析内控制度下内部控制评价体系》，《现代审计与经济》2010年第4期。

[3]铁亮、田中禾：《美国内部控制理论发展研究》，《财会通讯》（综合版）2010年第10期。

[4]胡燕、晓芳：《论企业内部控制自我评价体系的构建》，《北京工商大学学报（社会科学版）》2009年第6期。

[5]Robert Melville. control self assessment in the 1990s： the UK perspective. International Journal of Auditing [J].1999，（7）：40-54